6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK)’nun beşinci maddesinde özel nitelikli olmayan kişisel verilerin işlenme şartları düzenlenmiştir. Özel nitelikli kişisel verilerin işlenmesine dair koşullar ise altıncı maddede ayrıca düzenlenmiş olup, bazı ilave şartların varlığı aranmıştır.
KVKK Mevzuatı
Kanunun beşinci maddesine göre; kişisel verilerin işlenebilmesi için öncelikli olarak ilgilinin açık rızasının varlığı aranmaktadır. Bununla birlikte aşağıda sayılan şartlardan bir veya birkaçının varlığı halinde, ilgilide açık rızanın varlığına bakılmaksızın özel nitelikli olmayan kişisel veriler işlenebilecektir:
a) Kanunlarda açıkça öngörülmesi
b) Fiili imkansızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.
c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.
ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
d) İlgili kişinin kendisi tarafından alenileştirilmiş olması.
e) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.
f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması
Kanunda sayılan bu haller birer hukuka uygunluk hali olup sınırlı sayıda olacak şekilde düzenlenmiştir. Dolayısıyla bu şartların kıyas veya herhangi bir yolla genişletilmesi mümkün değildir. Kanunda sayılan şartlardan biri mevcutsa ilgili kişilerden ayrıca açık rıza alınmasına gerek yoktur. Kanunda sayılan yasal gerekçelerle yürütülmesi mümkün olan veri işleme faaliyetinin açık rızaya dayandırılarak yürütülmesi, ilgili kişilerin yanlış bilgilendirilmesine ve hakkın kötüye kullanılmasına neden olabilir. Öyle ki açık rızasını geri alan kişi açısından bakıldığında veri işleme faaliyetinin sona ermesi gerekecektir. Bir yandan da veri işleme faaliyeti, kanunda sayılan şartları taşıdığı için geçerli olarak yürütülmeye devam edecektir. Bu durumda kanuna uygun olarak veri işleme faaliyeti yapılsa da veri sorumlusu ve veri işleyenler, hukuka ve dürüstlük kuralına aykırı olarak işlem tesis etmiş olacaklardır. Bu nedenle, kişisel verilerin işlenmesi sürecinde öncelikle 5’inci maddenin 2’inci fıkrasında düzenlenen yasal şartların varlığına bakılmalı; şartlar mevcut değilse ilgilinin açık rızasına başvurulmalıdır.
